assets/courses/comunicazione-professionale/files/practice/source-it.md

# Rispettare i diritti degli persone

Fonte: European Data Protection Board (EDPB), guida alla protezione dei dati per le piccole imprese. Estratto testuale delle sezioni su diritti, gestione delle richieste e accesso. Testo ufficiale della pagina in italiano, senza immagini o video. Le intestazioni e i riferimenti sono mantenuti; la formattazione HTML è stata convertita in testo. Acquisizione: 14 settembre 2026. Verificare eventuali aggiornamenti durante l’esecuzione.

https://www.edpb.europa.eu/sme/be-compliant/respect-individuals-rights_it

© European Data Protection Board. Reuse: https://www.edpb.europa.eu/copyright_en

---

Quali diritti hanno le persone ai sensi del GDPR?

Il GDPR prevede i seguenti diritti per gli interessati, vale a dire alle persone i cui dati sono oggetto di trattamento:

Diritto di essere informati

Diritto di accesso

Diritto di rettifica

Diritto alla cancellazione (diritto all'oblio)

Diritto alla limitazione del trattamento

Diritto alla portabilità dei dati

Diritto di opposizione

Diritto di non essere soggetto a una decisione basata esclusivamente sul trattamento automatizzato

Si prega di notare che alcuni di questi diritti non si applicano a tutte le situazioni; per ulteriori informazioni, è possibile visualizzare la tabella sui diritti dell'interessato per ogni base giuridica.

Il titolare del trattamento ha l'obbligo di rispondere alle richieste degli interessati che esercitano i loro diritti e deve facilitare l'esercizio di tali diritti. Il responsabile del trattamento deve assistere il titolare del trattamento in questo compito.

Checklist di cosa fare per quanto riguarda i diritti dell'interessato:

Essere preparati : Sviluppare sistemi e procedure per rispondere alle richieste degli interessati in merito ai loro diritti e formare il personale a integrare le richieste relative ai diritti degli interessati nei flussi di lavoro interni.

Facilitare l'esercizio dei diritti : Rendere più facile per gli interessati sapere quali sono i loro diritti e come contattarti per esercitarli.

Conosci i tuoi flussi di dati : Tieni aggiornato il tuo registro delle attività di trattamento per identificare rapidamente i dati elaborati e individuare e recuperare le informazioni in modo efficiente.

Essere trasparenti : Informare sempre gli interessati in modo chiaro e comprensibile in merito ai dati personali trattati, prima del trattamento (ad esempio nell'informativa sulla privacy) e durante il trattamento (ad esempio nel rispondere rispondere a una richiesta di accesso dell'interessato).

Risposta entro 1 mese : Rispondere sempre a una richiesta dell'interessato entro un mese. Se hai bisogno di più tempo per rispondere o se non riesci a soddisfare la richiesta: informare l'interessato entro il termine di un mese.

Trasmettila: Quando ricevi una richiesta relativa a dati personali che hai trasferito ad altri destinatari, non dimenticare, se necessario, di informare i destinatari del risultato della richiesta.

Documento : Tieni traccia delle richieste degli interessati e registra le tue risposte; tieni traccia anche della tua argomentazione quando non rispondi a una richiesta.

Leggi di più

Come gestire le richieste degli interessati

La trasparenza è fondamentale per la protezione dei dati in generale e, naturalmente, anche nel contesto dei diritti dell'interessato.

Il titolare del trattamento deve:

comunicare con gli interessati in un linguaggio chiaro e comprensibile (questo è particolarmente importante nei casi in cui un'organizzazione si rivolge ai minori); e

facilitare l'esercizio di tali diritti, in particolare per via elettronica. Ad esempio, puoi fornire un modulo online sul tuo sito web che gli interessati possono utilizzare per esercitare facilmente i loro diritti in materia di protezione dei dati.

Rispondi per iscritto

La regola generale è che un'organizzazione dovrebbe rispondere alla richiesta di accesso di una persona nello stesso modo in cui è stata presentata la richiesta o nello stesso modo in cui l'interessato ha specificamente chiesto una risposta. Preferibilmente, si consiglia di rispondere per iscritto, se opportuno, anche per via elettronica. Una risposta a una richiesta dell'interessato potrebbe essere data oralmente, ma non è consigliabile in quanto è necessario essere in grado di dimostrare di aver risposto alla richiesta.

Rispondi entro un mese

Il GDPR specifica entro quanto tempo un titolare del trattamento deve rispondere a una richiesta e in quali casi può addebitare commissioni.

Quando gli interessati esercitano uno dei loro diritti, il responsabile del trattamento deve rispondere entro un mese . Se la richiesta è troppo complessa e è necessario più tempo per rispondere, l'organizzazione può prorogare il termine di altri due mesi, a condizione che l'interessato sia informato entro un mese dalla ricezione della richiesta. Se l'organizzazione può dimostrare che la richiesta è manifestamente infondata o eccessiva, in particolare a causa del suo carattere ripetitivo, è possibile addebitare una commissione ragionevole o rifiutare di accogliere la richiesta.

Se la tua organizzazione ha ragionevoli dubbi sull'identità della persona che effettua la richiesta (ad esempio, la richiesta viene effettuata con un altro indirizzo e-mail rispetto a quello normalmente utilizzato dal cliente o viene effettuata tramite un account non riconducibile al cliente), puoi richiedere ulteriori informazioni per confermare l'identità dell'interessato prima di rispondere.

Se non intendi ottemperare alla specifica richiesta dell'interessato, devi informare l'interessato entro un mese dal ricevimento della richiesta dei motivi per cui non si intende dare seguito alla richiesta (ad esempio perché non cancelli i dati richiesti). Inoltre, si deve informare gli interessati della possibilità di poter presentare un reclamo all'Autorità nazionale per la protezione dei dati e di ottenere un ricorso giurisdizionale.

Non addebitare costi

La tua organizzazione non può richiedere alcun pagamento agli interessati che chiedono di esercitare uno dei loro diritti. Tuttavia, è possibile addebitare un costo se la richiesta dell'interessato è manifestamente infondata o eccessiva, in particolare a causa del suo carattere ripetitivo. Il calcolo del costo deve tenere conto delle spese amministrative dell’organizzazione per rispondere alla richiesta. Come spiegato in precedenza, è anche possibile rifiutare di dar seguito a una richiesta manifestamente infondata o eccessiva. In una situazione del genere, è necessario essere in grado di poter dimostrare che questo è il caso.

Nella pratica

Un interessato presenta delle richieste di accesso ogni due mesi al falegname che ha fabbricato la sua tavola. Il falegname ha risposto in maniera esaustiva alla prima richiesta. Poiché il falegname non tratta i dati personali nell'ambito della sua attività principale e non ha fornito più di un servizio all'interessato, è improbabile che si siano verificati cambiamenti nell'insieme di dati che lo riguardano. L'interessato ha chiarito che la nuova richiesta riguarda le stesse informazioni della precedente richiesta. Di conseguenza, quest’ultima richiesta può essere considerata eccessiva a causa del suo carattere ripetitivo.

Se il falegname decidesse di fornire i dati personali all'interessato ma a titolo oneroso, è consigliabile che lo informi in anticipo, dandogli così la possibilità di ritirare la richiesta per evitare di vedersi addebitare delle spese. In alternativa, il falegname può informare l'interessato dei motivi per cui non risponderà alla sua richiesta, nonché della possibilità di presentare un reclamo ad un'Autorità per la protezione dei dati e di chiedere una risoluzione giurisdizionale.

titolare del trattamento: https://www.edpb.europa.eu/sme/learn-the-basics/data-controller-or-data-processor_it

responsabile del trattamento: https://www.edpb.europa.eu/sme/learn-the-basics/data-controller-or-data-processor_it

EUR-Lex: https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32016R0679&from=IT#d1e2168-1-1

EUR-Lex: https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32016R0679&from=IT#d1e3157-1-1

Diritto di accesso

Esercitando il diritto di accesso, gli interessati possono verificare la liceità di ogni attività di trattamento che li riguarda.

Quando esercitano il loro diritto di accesso, gli interessati dovrebbero ottenere una conferma dell'eventuale trattamento dei loro dati personali da parte del titolare del trattamento. In tal caso, gli interessati devono avere accesso ai loro dati personali e alle seguenti informazioni:

le finalità del trattamento;

le categorie di dati personali in questione;

i destinatari (o le categorie di destinatari) dei dati personali;

il periodo di conservazione dei dati personali o i criteri utilizzati per determinare tale periodo;

l'esistenza del diritto di richiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che li riguardano o di opporsi a tale trattamento;

l'esistenza del diritto di fare un reclamo a un'Autorità per la protezione dei dati;

la fonte dei dati (quando i dati personali non sono raccolti direttamente presso l'interessato);

l'esistenza di un processo decisionale automatizzato, compresa la profilazione, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze di tale trattamento per l'interessato;

quando i dati personali sono trasferiti al di fuori dell'Unione Europea vengono messe in atto tutte le garanzie appropriate (ai sensi dell'art. 46 GDPR in materia di trasferimento di dati).

Inoltre, la persona ha il diritto di ricevere (gratuitamente) una copia dei dati personali che la tua organizzazione sta elaborando. Se la persona chiede copie aggiuntive, l'organizzazione potrebbe decidere di addebitargli un costo  ragionevole, calcolato sulla base del costo amministrativo della realizzazione delle copie. Si noti che nella maggior parte dei casi, gli individui non possono essere tenuti a pagare una tassa per accedere alle loro informazioni personali.

Se una richiesta è effettuata elettronicamente, l'organizzazione deve fornire le informazioni richieste in un formato elettronico di uso comune, salvo diversa richiesta individuale.

Importante da notare

Prima di fornire una copia dei dati personali, è necessario verificare che ciò non pregiudichi i diritti e le libertà altrui (ad esempio, se le informazioni relative a più di una persona sono trattate nello stesso documento o se sono informazioni relative a segreti commerciali e a proprietà intellettuale).

Leggi di più

EUR-Lex: https://eur-lex.europa.eu/legal-content/it/TXT/HTML/?uri=CELEX:32016R0679&from=EN#d1e2520-1-1

EDPB: https://edpb.europa.eu/our-work-tools/documents/public-consultations/2022/guidelines-012022-data-subject-rights-right_it